ESP kommt an, aber nichts wird entschlüsselt? Verfolgen Sie die Eingangsstufen

Wenn der Verschlüsselungszähler einer Firewall steigt, während der Tunnel nichts liefert, ist der Instinkt, eine Zugriffsregel zu erweitern. Dieser Instinkt überspringt die eigene Prüfreihenfolge des Empfängers. Ein eingehendes ESP-Paket durchläuft mehrere Stufen, und jede kann das Leben des Pakets aus einem anderen Grund beenden: keine passende Association, ein Fehler bei Replay oder Integrität, oder ein inneres Paket, das in Ordnung ist, aber nicht weiter erlaubt wird. Die fehlgeschlagene Stufe zu benennen macht aus einer vagen Aussage, IPsec sei kaputt, einen konkreten Zähler und eine konkrete Korrektur.

Ankunft ist eine Beobachtung, nicht drei

Eine externe Aufzeichnung, die zeigt, dass ESP das Gateway erreicht, beweist nur, dass das äußere Paket angekommen ist. Annahme bedeutet, dass der Empfänger die Association gefunden und das Paket validiert hat. Zustellung bedeutet, dass das wiederhergestellte innere Paket zu seinem Ziel geroutet und beantwortet wurde. Das sind getrennte Ergebnisse, und ein Dashboard, das sie zusammenführt, verbirgt genau die Information, die Sie brauchen.

Dieselbe Unterscheidung erklärt einen häufigen Bericht: der Verschlüsselungszähler des einen Peers steigt, während der andere keinen nutzbaren entschlüsselten Verkehr meldet. Beide Aussagen können gleichzeitig wahr sein, weil sie verschiedene Stufen desselben Versuchs beschreiben.

Die Association-Suche erfolgt vor der Entschlüsselung

Der Empfänger setzt bei Bedarf Fragmente zusammen und findet dann die Security Association für das Paket. Bei gewöhnlichem Unicast wählen SPI und Ziel sie aus. Ohne gültige Association erfolgt keine weitere Verarbeitung, weshalb ein veralteter oder nicht passender SPI Stille erzeugt statt eines für die Anwendung sichtbaren Fehlers.

Associations sind gerichtet und können sich während einer Schlüsselerneuerung ändern, daher notieren Sie den empfangenden Peer, den SPI und den Zeitstempel neben der eingehenden Association, die Sie für aktuell halten. Eine angezeigte ausgehende Association oder eine gesunde IKE-Beziehung ersetzt nicht diejenige, die dieses Paket empfangen sollte.

Replay- und Integritätsprüfungen lehnen ab, bevor eine Nutzlast existiert

Sobald eine Association gefunden ist, wendet der Empfänger die von ihr festgelegten Algorithmen an. Ist der Replay-Schutz aktiviert, wird eine Sequenznummer außerhalb des Fensters abgelehnt. Ein Fehler der Integritätsprüfung beendet die Verarbeitung ebenfalls, weil der ICV nicht zu dem Paket passt, wie es empfangen wurde. Keiner der Fälle erzeugt ein entschlüsseltes inneres Paket, also erreicht nichts Routing, Policy oder die Anwendung.

Nutzen Sie die dokumentierten Fehler und Zähler der Implementierung für diese Zustände, statt jeden Empfangsfehler als Zugriffslisten-Ablehnung zu behandeln. Integrität oder Replay-Schutz abzuschalten, damit Verkehr sichtbar wird, belegt nicht, dass das eingehende Paket legitim war; es entfernt die Prüfung, die die Wahrheit berichtete.

UDP-Port 4500 ist ein Container, kein Urteil

NAT-Traversal trägt ESP innerhalb von UDP, und derselbe Port trägt auch IKE- und Keepalive-Nachrichten. Aktivität auf 4500 sagt daher, dass etwas den Port nutzt, nicht dass die Anwendung ein ESP-Paket erzeugt hat. Klassifizieren Sie die Nutzlast, bevor Sie sie dem Datenverkehr zuschreiben.

Das zählt, wenn eine Aufzeichnung der einzige Beleg ist. Ein Keepalive, das planmäßig eintrifft, kann einen toten Tunnel lebendig aussehen lassen, und eine IKE-Nachricht kann eine Aufzeichnung beschäftigter aussehen lassen, als der Datenpfad wirklich ist.

Erst nach der Extraktion gelten Routing und Policy

Wenn die Entschlüsselung gelingt, tritt das wiederhergestellte innere Paket in den normalen Pfad ein: Policy-Prüfungen, Routing, Weiterleitungsregeln und der Zielhost. Ein Paket kann jede Sicherheitsprüfung bestehen und hier dennoch verworfen werden, und auch der Antwortpfad muss existieren. Dieser Fehler gehört zur Weiterleitung, nicht zu ESP.

Halten Sie Zähler an ihre dokumentierte Stufe gebunden. Schnittstellenempfang, akzeptiertes ESP, entschlüsselte Bytes und weitergeleitete innere Pakete müssen nicht dieselbe Zahl sein, besonders wenn ein beschleunigter Pfad die Datenebene übernimmt und die Steuerungsebene getrennt berichtet. Ein allgemeines Dashboard-Etikett ist kein Beweis dafür, dass zwei Zähler dasselbe bedeuten.

Für einen einzelnen neuen autorisierten Vorgang halten Sie die letzte bestätigte Grenze und den ersten relevanten Fehler fest. Dieses Paar sagt dem nächsten Administrator, ob er Transportzustellung, Association und Integrität oder gewöhnliche innere Weiterleitung untersuchen soll, und es vermeidet die übliche Korrektur, jede Regel durchlässig zu machen, um eine Zahl zu bewegen.